CoinDesk
Das Cross-Chain-Liquiditätsprotokoll Maya Protocol hat den Handel auf seinem MAYAChain-Netzwerk gestoppt, nachdem ein Angreifer sechs Software-Bugs zu einem einzigen Abfluss verkettete, der etwa 1,7 Mio. $ in Bitcoin und anderen Vermögenswerten erbeutete. Gründer @AaluxxMyth erklärte, der Angriff habe rund 20 BTC (1,34 Mio. $) sowie weitere 300.000 $ in Ether und anderen Token abgezogen. On-Chain-Aufzeichnungen zeigen, dass der Angreifer nach dem Abschluss noch 8,87 Mio. $CACAO in seiner Wallet hielt. Der Stopp kam rechtzeitig, um weiteren Verlust zu verhindern, doch der Einbruch des Tokens und die Arbitrage-Kaskade hatten bereits rund 10,9 Mio. $ aus Mays Pool-Wert gerissen.
Warum es wichtig ist
Der Exploit ist ein Paradebeispiel dafür, wie sich enge Bugs zu einem protokollweiten Ausfall aufschaukeln. Die Kette begann, als MAYAChain eine ausgehende Transaktion fälschlich als fehlend interpretierte, einen Diebstahlkompensationscode für Liquiditätspools auslöste, die Auszahlung falsch berechnete und rund 49 Mio. $CACAO einem kleinen Pool gutschrieb, der nur etwa 168.000 CACAO als Reserve hielt. Die Übertragung schlug fehl, doch ein zweiter Bug rettete den aufgeblähten Saldo in den State, ein dritter hielt das Netzwerk in Betrieb, als wäre alles real, und der Angreifer stieg mit einer Dust-Einzahlung ein, um 99% des verzerrten Pools einzustreichen und mit 48,87 Mio. $CACAO wieder zu verschwinden. Jeder Bug für sich sieht verteidigbar aus. Die Kombination war tödlich, und Mays Angebot einer Bug-Bounty im Austausch für die Rückgabe der Mittel unterstreicht, wie wenige Optionen ein gestoppter DEX hat, sobald sein Buchhaltungs-State vergiftet ist.
Marktauswirkungen
Der größere Schaden übertraf den direkten Diebstahl bei Weitem. $CACAO wurde vor dem Exploit bei rund 0,115 $ gehandelt, fiel bis auf 0,013 $ (ein Einbruch von fast 89%) und erholte sich nach dem Chain-Stopp nur auf etwa 0,03 $. Rund 6,4 Mio. $ der 10,9 Mio. $ Pool-Rückgang stammten daher, dass CACAO selbst an Wert verlor, weitere 2,9 Mio. $ von Arbitrageuren, die den Krater kauften und BTC, ETH sowie Stablecoins abzogen, und nur etwa 1,65 Mio. $ entfielen auf die direkte Entnahme des Angreifers. Das Maya-Team arbeitet an einem Software-Fix und kündigte an, die 20 BTC über Investitionen in Aztec Chain und andere Mittel zu ersetzen, falls die Gelder nicht zurückgegeben werden.
Häufig gestellte Fragen
-
Was ist beim Exploit des Maya-Protokolls passiert?
Sechs Software-Bugs wirkten zusammen. MAYAChain hielt eine ausgehende Transaktion fälschlich für fehlend, löste Diebstahlkompensationscode aus, der einem Reserve-Pool mit 168.000 CACAO 49 Mio. ungedeckte Token gutschrieb, und rettete den falschen Saldo trotzdem. Der Angreifer zahlte Dust ein, griff 99% des Pools ab…
-
Wie viel wurde tatsächlich gestohlen im Vergleich zum Verlust der Pools?
Der Angreifer entnahm persönlich rund 1,65 Mio. $, davon etwa 1,34 Mio. $ in 20,83 BTC und ~300.000 $ in anderen Token. Der gesamte Pool-Wert fiel um ~10,9 Mio. $, doch nur 1,65 Mio. $ waren der direkte Diebstahl. Etwa 6,4 Mio. $ stammten aus der Entwertung von $CACAO und 2,9 Mio. $ aus Arbitrageuren, die den billigen…
-
Hat sich CACAO nach dem Exploit erholt?
$CACAO wurde vor dem Exploit bei rund 0,115 $ gehandelt und fiel bis auf 0,013 $, ein Rückgang von 89%. Nach Mays Handelsstopp erholte sich der Token teilweise auf etwa 0,03 $, lag damit aber noch immer rund 74% unter dem Niveau vor dem Exploit.
-
Bekommen Liquiditätsgeber ihre Mittel zurück?
Maya bot dem Angreifer eine Bug-Bounty im Austausch für die Rückgabe der Mittel und erklärte, die 20 BTC über Investitionen in Aztec Chain und andere Mittel zu ersetzen, falls der Angreifer nicht kooperiert. Die Wiederherstellung der Pool-Salden ist das härtere Problem, weil die betrügerischen CACAO bereits in andere…
-
Ist Maya Protocol weiterhin gestoppt?
Ja. Maya hat alle Swaps auf MAYAChain gestoppt, um den Schaden einzugrenzen, und arbeitet an einem Software-Fix, bevor der Handel wieder aufgenommen wird. Der Wiederaufbau der Pools wird mehr erfordern als einen Patch, da der aufgeblähte Saldo-State mit den legitimen Liquiditätsgebern abgeglichen werden muss.
CryptoSlate
TheBlock
Lookonchain
WuBlockchain